Si è aperto ieri, come vi avevamo annunciato, il concorso Pwn2own dedicato alla sicurezza software.
Il particolare contest, organizzato da TippingPoint, ha già visto cadere i primi browser e, purtroppo per Apple, il primissimo è stato Safari.
Charlie Miller, che già lo scorso anno aveva violato il browser di Cupertino in un paio di minuti, quest’anno ha superato se stesso e letteralmente in pochi secondi ha avuto Safari alla propria mercé.
“Non posso parlare dei dettagli della vulnerabilità - ha dichiarato Miller - ma si trattava di un Mac con installati tutti gli aggiornamenti disponibili e dell’ultima versione di Safari con tutte le patch disponibili.
Ho dato agli organizzatori un link, hanno clickato, ed era fatta. Ci saranno voluti 5 o 10 secondi“.
Miller ha poi precisato di aver studiato approfonditamente Safari negli ultimi mesi, e di essersi presentato alla manifestazione con l’exploit già pronto.
Non pago, nel pomeriggio di ieri Miller ha spostato la sua attenzione su un Sony Vaio con Windows 7 e Internet Explorer 8, riuscendo a violare anche i software di Redmond in pochi secondi.
Presenti alla manifestazione, esponenti tanto di Apple quanto di Microsoft hanno già ricevuto tutte le informazioni riguardo alle vulnerabilità scoperte dai partecipanti.
Domani sarà il giorno di Firefox (in versione Mac) e Chrome (disponibile solo per Windows), mentre la novità di quest’anno è rappresentata dalla presenza di premi per chi riuscirà a violare gli OS dei più diffusi sistemi mobili: Windows Mobile, Android, Symbian, iPhone e BlackBerry.
Charlie Miller, tuttavia, si è già chiamato fuori da questa ultima impresa: “Semplicemente non sono in grado di farlo - ha concluso - non ho in mano nulla per iPhone e non conosco sufficientemente bene Android“.
Seguici
melablog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, Chi siamo, Condizioni di utilizzo, Privacy.
© 2004-2012 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Melablog.it contattare la concessionaria esclusiva Populis Engage.
Gladiak
19 mar 2009 - 09:14 - #1A dir poco poco sarà una falla di un plugin di terze parti (flash, java o altro).
Poi arrivare li alla manifestazione con l’exploit gia fatto è troppo “semplice” :D
C’era in palio un mac ?
ragugo
19 mar 2009 - 09:21 - #2O anche solo una falla di Safari vero e proprio, magari un buffer overflow per particolari URL.
I bug esistono in qualsiasi piattaforma, bisogna solo saperci convivere… errare humano est!
Gladiak
19 mar 2009 - 10:11 - #3Certo nessun programma è perfetto, sia Apple che non ;)
ilmargarit
19 mar 2009 - 10:13 - #4Prevedibile! Tenete presente che abbiamo a che fare con una beta. Anche l’anno scorso Miller si era presentato con l’exploit già pronto da mesi. Alla fine è un bene che le falla le scoprano loro e non altri.
manang85
19 mar 2009 - 10:13 - #5eheheh…anche i mac user devono stare attenti ora…
:P
jpiero
19 mar 2009 - 10:26 - #6@manag non capisco se tu stia scherzando o meno, comunque c’è poco da ridere o sfottere, questi sono problemi gravi per tutti.
In ogni caso, dopo aver bucato i browsers, cosa e’ che posso fare?
Toninos
19 mar 2009 - 10:31 - #7X manang85
hai ragione! devono guardarsi intorno perchè se ti vedono ti gonfiano!!:-)
Nikobu
19 mar 2009 - 10:33 - #8Che usiamo i sistemi operativi della apple è un dato di fatto ma non mi spiego come fate sempre e poi sempre a trovare giustificazioni ogni qual volta il nostro amato os ha dei problemi di sicurezza … 10 secondi per bucare safari è veramente un dato imbarazzante … si fa sempre un gran parlare di se della sicurezza di osx e poi bastano 10 secondi per prendere il controllo del sistema
pInOSX
19 mar 2009 - 10:33 - #9mi piacerebbe vedere cosa è riuscito a fare dopo aver bucato safari… secondo me poco o niente!!!
ciri
19 mar 2009 - 10:36 - #10@jpiero: dipende che tipo di falla è e cosa ci puoi fare. Puoi anche riuscire a prendere il controllo della macchina.
Comunque per quella falla bisogna visitare una pagina creata ad hoc, quindi ci vuole anche una certa complicità dell’utente.
Lui gli ha dato il link e gli organizzatori ci sono andati: gli hanno un po facilitato la vita.
ciri
19 mar 2009 - 10:38 - #11@Nikobu: hai letto l’articolo? Aveva l’exploit già pronto! E’ ovvio che ci ha messo 10 secondi, era tutto pronto.
Magari per scoprire veramente la falla e costruire l’exploit ci ha messo 2 anni!
Nikobu
19 mar 2009 - 10:45 - #12ciri, cliccare su un link è cosa di tutti i giorni non mi pare una novità, per te si?
Ovvio che arrivano con l’exploit già pronto, non è che hanno 30 giorni per scoprire le vulnerabilità, ma credi che miller sia l’unico in grado di farlo? e non ce ne siano altri in giro con ben altre intenzioni?
ciri
19 mar 2009 - 10:56 - #13Mica ho detto che è l’unico, ce ne saranno milioni. Fatto sta che non è vero che ci ha messo 10 secondi. Altrimenti si da un’informazione sbagliata a chi legge.
Comunque se clicchi su link che sai dove ti portano (cioè su siti che conosci o affidabili) sarà dura che incappi in questo exploit.
manang85
19 mar 2009 - 11:09 - #14vedete che non per forza bisigna vedersi un mouse che si muove sa solo.
posso tranquillamente entrare nel pc e prendere dati sensibili.
è questa la cosa più spiacevole.
poi se è dura far si che tu clicki su quel link ti dirò che si fa in altro modo.
ti do una foto, te me la apri e dietro qualcosa mi da la possibilità di usufruire della falla.
risolveranno, questo è sicuro.
enzo7903
19 mar 2009 - 11:13 - #15si si 10 secondi dopo mesi o forse anni di preparativi
Paolino Paperino
19 mar 2009 - 11:21 - #16Che dire?
Uno dei browser, anzi il browser, piu’ veloce a disposizione sul mercato!
Peccato lo sia per gli hacker…
Trollone
19 mar 2009 - 11:23 - #17la storia dei 10 secondi fa un po ridere è chiaro che che si arriva a queste manifestazioni con l’exploit pronto, non so se avete mai provato a fare un buffer owerflow, è facile trovarlo, ma poi riuscire a far eseguire il codice è tutto un altro paio di maniche
@ciri
sulla questione di facilitare la vita, dai un occhio a come si svolge il concorso
http://alturl.com/nu9
ciri
19 mar 2009 - 11:30 - #18Mi spiace ma sti giochetti riescono con gli sprovveduti :)
Non ci vuole un genio a fare un redirect.
Come vedi serve la complicità ingenua dell’utente.
Le falle di cui uno si deve veramente preoccupare sono quelli eseguibili da remoto, con il solo IP. Senza altri stratagemmi strani.
Poi ovvio, in rete è pieno di gente che clicca a caso.
Trollone
19 mar 2009 - 12:00 - #19quello che mi allarma comunque è questo:
“I did a few things to show that I had full control of the Mac.”
questo vuol dire che Safari utilizza qualche componente che gira con i privilegi di root e non è isolato dal sistema operativo.
molto molto male.
manang85
19 mar 2009 - 12:18 - #20beh…è grave una cosa del genere…
se lavora come root il problema è serissimo.
poi si mesi e mesi di preparativi. nessuno ha detto che lo si fa subito.
quindi secondo quello che ho letto qui: il mac os non è a prova di idiota.
quindi facilmente penetrabile, visto che non tutti devono essere smanettoni col pc.
ciao
angelo
ciri
19 mar 2009 - 12:21 - #21Vale per tutti i sistemi operativi.
Se uno è idiota, puo beccarsi virus pure sul MAC.
Se uno è una persona attenta, non gli serve l’antivirus manco su Windows.
Nikobu
19 mar 2009 - 12:27 - #22vedo che siete tutti esperti informatici
Rafa
19 mar 2009 - 12:36 - #23Non c’era bisogno di un genio dell’informatica per capire che Safari ha dei gravi problemi, io ho smesso di utilizzarlo da parecchio ormai.
Nikobu
19 mar 2009 - 12:47 - #24Rafa, quindi è meglio firefox? o cosa?
pecurellasmarrita
19 mar 2009 - 13:03 - #25Per chi e’ convinto che sia un problema da poco: e’ solo una misera consolazione. I problemi ci sono e sono gravi, senza andare a dire che magari “con quella falla non si fa un granche’ “. Non e’ che i geni dell’informatica lavorano tutti alla Apple e gli idioti tutti in Microsoft!
Per chi si consola dicendo che Miller s’era gia’ preparato: pensate che un maleintenzionato non si prepari prima di fare danni a qcn?? ma che discorsi sono ….
manang85
19 mar 2009 - 13:04 - #26meglio rassegnarsi al fatto che non esiste nulla di impenetrabile.
comunque meglio firefox per la sua estensibilità. e poi è anche open.
pecurellasmarrita
19 mar 2009 - 13:08 - #27#manang85
chi pensa che ci sia qcs di impenetrabile e’ solo un povero illuso …
Ah, dimenticavo di dire che se la sicurezza nei sistemi operativi esiste anche e soprattutto per la presenza degli utenti sprovveduti … quindi basta dire anche “sì, ma ci vuole un utente sprovveduto” … la sicurezza esiste proprio per loro …
Nikobu
19 mar 2009 - 13:13 - #28Domani tocca a firefox su mac, attendiamo.
Trollone
19 mar 2009 - 13:16 - #29@Nikobu
meglio una macchina virtuale in cui far girare quello che va sulla rete ;)
Nikobu
19 mar 2009 - 13:23 - #30:-D
ragugo
19 mar 2009 - 13:45 - #31@ manang85
tu che provieni dal mondo linux sai cosa sono gli exploit, di come ne vengano scoperti di più in sistemi *nix che Windows…. e nonostante tutto ciò chi può dire che Windows è più sicuro? ;-)
rifletti…
manang85
19 mar 2009 - 13:53 - #32e chi ha detto niente.
ho solo detto che non esiste nulla di sicuro.
ovviamente con unix e linux mi sento più sicuro.
non temo tanto la gente che può entrare nel mio pc, ma più che altro quei virus che mi danneggiano il sistema.
credo che il 99.9% delle persone non deve temere di essere “posseduto” da altri.
tutto qui.
uso gentoo come distribuzione, e siccome ci vuole tempo per installarla è ovvio sapere che l’unico virus del mio pc sono io che sperimento e faccio danni.
poi windows ovviamente non è sicurissimo, non è a prova di idioti, ma credo che si possa già fare abbastanza eliminando l’accesso come amministratore.
ciao
angelo
Trollone
19 mar 2009 - 14:12 - #33… o usare sandboxie ^_^
ragugo
19 mar 2009 - 14:15 - #34getoo?!?!
allora hai tanto tempo libero ahahahah …scusa ma queste prese in giro sono all’ordine del giorno tra i vari distro-fan!
Non ti dico le guerra dalle miei parti tra fedoristi debianisti ubuntisti ecc…
manang85
19 mar 2009 - 14:35 - #35si si anche da me c’è la lotta tra le distro. ma per come è fatta gentoo credo di essere il più figo al momento. e fidati che ne ho buttato di sangue…ma ora sono abbastanza pratico, quindi…il peggio è andato.
CJK
19 mar 2009 - 16:05 - #36guarda tutti i fan mac come rodono e trovano scuse inutili perchè si era preparato l exploit!!! XD vi conviene scendere dalle stelle il mac non è perfetto chissà quante falle avrà solo che siccome è + “redditizio” far saltare i windows evitano di smanettarci troppo su mac…..
pecurellasmarrita
20 mar 2009 - 02:23 - #37sarebbe bello sapere anche i motivi dei voti negativi … ma penso che chi li abbia messi sia ignorante come una capra visto che non mi sembra di aver detto cose fuori dalla realta’ …
beati voi … la convinzione e’ tutto nella vita :-)
-Hypno™-
20 mar 2009 - 13:30 - #38Non è però specificato se si tratta di Safari 4 o di Sarari 3.1…
Comunque sia un difetto Safari ce l’ha. E’ aggiornato troppo lentamente.